⚡ electrical engineering

Re-imagining ISO 26262 in the Age of Autonomous Vehicles: Enhancing Controllability through Transferability and Predictability

Dit artikel stelt een herinterpretatie voor van het ISO 26262-criterium voor beheersbaarheid (Controllability) voor autonome voertuigen door dit te deconstrueren in de meetbare dimensies overdraagbaarheid (Transferability) en voorspelbaarheid (Predictability), waardoor een wiskundig kader wordt gecreëerd om de fallback-capaciteiten en interactiegedragingen in bestuurdersloze systemen te kwantificeren en te falsifiëren.

Oorspronkelijke auteurs: Chaitanya Shinde, Hadi Hajieghrary, Paul Schmitt, Adam Shoemaker, Bodo Seifert, Steve Kenner

Gepubliceerd 2026-06-08

📖 5 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Chaitanya Shinde, Hadi Hajieghrary, Paul Schmitt, Adam Shoemaker, Bodo Seifert, Steve Kenner

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je voor dat je een nieuwe bestuurder leert hoe hij een auto moet besturen. De huidige veiligheidsregels (genaamd ISO 26262) zijn geschreven voor mensen. Ze stellen drie grote vragen om te bepalen hoe gevaarlijk een situatie is:

Hoe erg zou de crash kunnen zijn? (Severity/Ernst)
Hoe vaak gebeurt dit? (Exposure/Blootstelling)
Kan de bestuurder sturen of remmen om het te vermijden? (Controllability/Beheersbaarheid)

De derde vraag, "Kan de bestuurder het vermijden?", werkt geweldig voor mensen. Maar wat gebeurt er als je de menselijke bestuurder uit de auto haalt en vervangt door een robot? Een robot kan niet op dezelfde manier "sturen" als een mens reageert, en er is geen mens om het "over te nemen" als de robot in de war raakt.

Dit artikel stelt een nieuwe manier voor om die derde vraag te beantwoorden voor zelfrijdende auto's. In plaats van te vragen "Kan een mens dit beheersen?", splitst het het antwoord in twee nieuwe, meetbare delen: Transferability (Overdraagbaarheid) en Predictability (Voorspelbaarheid).

Hier is de onderverdeling met eenvoudige analogieën:

1. Transferability: Het "Noodplan"

In een menselijke auto gaat "Controllability" over hoe snel een mens kan reageren. In een zelfrijdende auto moeten we weten: Als het hoofdbrein uitvalt, kan het back-upsysteem dan veilig het overnemen?

De Analogie: Stel je een piloot voor die een vliegtuig vliegt. Als de automatische piloot uitvalt, moet de piloot de controle kunnen grijpen en het vliegtuig veilig kunnen landen. In een zelfrijdende auto is de "piloot" de back-up software.
De Stelling van het Papier: De auteurs noemen dit Transferability. Het meet hoe goed de auto de controle kan overdragen van het hoofdsysteem naar een "vangnet" (een fallback-mechanisme) voordat er een ramp gebeurt.
De "Gap" (∆T): Het papier introduceert een concept genaamd de "Designed vs. Achievable Gap" (Ontwerp versus Behaalbaarheid).
- Designed (Ontwerp): Wat de ingenieurs op papier denken dat het back-upsysteem kan doen.
- Achievable (Behaalbaar): Wat het back-upsysteem daadwerkelijk doet wanneer het wordt getest in echte, chaotische situaties (zoals regen, geblokkeerde wegen of schittering).
- Als de prestaties in de echte wereld slechter zijn dan het ontwerp, is er een "gap". Het papier betoogt dat we deze kloof eerlijk moeten meten in plaats van alleen te vertrouwen op de ontwerpplannen.

2. Predictability: De "Duidelijke Intentie"

Het tweede deel van het probleem is dat zelfrijdende auto's niet alleen intern veilig moeten zijn; ze moeten ook veilig zijn met andere mensen. Als een auto plotseling stopt of vreemd beweegt, kunnen voetgangers en andere bestuurders in de war raken en in paniek raken.

De Analogie: Stel je voor dat je over een drukke straat loopt. Je kunt zien dat iemand de weg wil oversteken omdat diegene naar je kijkt, een stap naar voren zet en zwaait. Je kunt hun beweging "voorspellen". Als iemand naar je toe loopt, stopt, een rondje draait en dan achteruit rent, weet je niet wat diegene aan het doen is en kun je struikelen of gewond raken.
De Stelling van het Papier: De auteurs noemen dit Predictability. Het meet hoe gemakkelijk het is voor een voetganger of een andere bestuurder om te raden wat de zelfrijdende auto nu gaat doen.
Hoe het werkt: Het papier stelt voor om vier zaken te controleren om te zien of de auto "voorspelbaar" is:
1. Context: Beweegt de auto als een normale auto in deze situatie?
2. Intent (Intentie): Is het duidelijk wat de auto wil doen? (bijv. links afslaan versus rechtdoor gaan).
3. Signalen: Komen de richtingaanwijzers en remlichten overeen met de werkelijke beweging van de auto?
4. Verrassing: Maakte de auto een plotselinge, schokkerige beweging die niemand kon verklaren?

Alles bij elkaar: De Nieuwe Veiligheidsscore

Het papier suggereert om deze twee nieuwe scores (Transferability en Predictability) te combineren om een nieuwe, verbeterde versie van de oude "Controllability"-score te creëren.

De Logica: Als een auto een geweldig back-upplan heeft (Hoge Transferability) maar op een verwarrende, schokkerige manier rijdt (Lage Predictability), is het nog steeds gevaarlijk.
Het Resultaat: Het papier creëert een wiskundige formule om deze scores te mengen. Als de auto in beide goed is, krijgt het een "veilige" beoordeling. Als de auto op één van beide punten faalt, daalt de veiligheidsbeoordeling en moet de auto worden aangepast of beperkt tot eenvoudigere wegen.

Waarom dit ertoe doet

De auteurs zeggen niet dat de oude regels fout zijn; ze zeggen dat de oude regels voor mensen waren gebouwd, en zelfrijdende auto's zijn anders.

Oude Regel: "Kan de menselijke bestuurder dit oplossen?"
Nieuwe Regel: "Kan het back-up systeem van de auto het oplossen (Transferability) EN kunnen de mensen om de auto heen begrijpen wat de auto doet (Predictability)?"

Door deze twee zaken te meten, kunnen toezichthouders en ingenieurs bewijzen dat een zelfrijdende auto niet alleen veilig is omdat hij goede sensoren heeft, maar omdat hij een betrouwbaar back-upplan heeft en zich op een manier gedraagt die mensen kunnen begrijpen.

Belangrijke Opmerking uit het Papier:
De auteurs zijn zeer voorzichtig om te benadrukken dat dit een voorstel is voor hoe de regels te updaten, en niet een voltooide wet. Ze benadrukken dat deze nieuwe scores bedoeld zijn om toe te voegen aan de bestaande veiligheidscontroles, en niet om bedrijven toe te staan het harde werk van het veilig maken van auto's over te slaan. Ze waarschuwen ook dat je niet simpelweg hetzelfde computerprogramma kunt gebruiken om de auto te ontwerpen en vervolgens te testen of de auto voorspelbaar is; de test moet onafhankelijk zijn om vertrouwd te kunnen worden.

Technische Samenvatting: ISO 26262 heruitgevonden voor het tijdperk van autonome voertuigen

Probleemstelling

De ISO 26262-standaard biedt een uitgebreid kader voor functionele veiligheid in wegvoertuigen, dat fundamenteel is geworteld in een door de mens gestuurd paradigma. Het risicobeoordelingsmodel berust op drie parameters: Ernst (Severity, S), Blootstelling (Exposure, E) en Controleerbaarheid (Controllability, C). De parameter "Controleerbaarheid" schat specifiek de waarschijnlijkheid in dat een menselijke bestuurder een gevaarlijke gebeurtenis kan beperken door middel van een tijdige reactie.

Deze bestuurdersgerichte aanname wordt ongeldig voor autonome voertuigen (AV's) met SAE-niveau 4 en 5, waarbij geen menselijke operator beschikbaar is om in te grijpen tijdens de dynamische rijtaak. Bijgevolg kan de traditionele metriek voor controleerbaarheid niet direct worden toegepast op bestuurdersloze systemen. Het artikel identificeert een kritieke kloof: bestaande standaarden missen een systematische methode om "controleerbaarheid" te deconstrueren en te kwantificeren in de afwezigheid van een menselijke bestuurder, wat een herinterpretatie noodzakelijk maakt van hoe mitigatie van gevaren en situationele controle worden beoordeeld voor autonome systemen.

Methodologie

De auteurs stellen een methodologische uitbreiding van ISO 26262 voor die de plaatsvervanger voor Controleerbaarheid deconstrueert in twee controleerbare, meetbare subdimensies: Transfereerbaarheid (Transferability) en Voorspelbaarheid (Predictability). Deze dimensies zijn ontworft om de bestaande ISO 26262-processen aan te vullen in plaats van te vervangen en sluiten aan bij ISO/PAS 21448 (SOTIF).

1. Transfereerbaarheid (Systeemniveau-capaciteit)

Transfereerbaarheid herdefinieert Controleerbaarheid van een menselijke reactie naar een systeemcapaciteit. Het wordt formeel gedefinieerd als het vermogen van een AV om een veilige en tijdige overgang uit te voeren van primaire autonomie naar een specifieke fallback-mechanisme binnen het Fault-Tolerant Time Interval (FTTI), waarbij een minimale risicotoestand (minimal-risk condition) wordt bereikt zonder nieuwe gevaren te introduceren.

Formalisering: Transfereerbaarheid ( $T$ ) wordt gemodelleerd als een functie van de operationele context: $T = T(o, f, s, m, \tau_{FTTI})$ , waarbij $o$ de Operational Design Domain (ODD) slice is, $f$ de foutfamilie (fault family), $s$ de scènestatus, $m$ de klasse van de Minimal Risk Maneuver (MRM) en $\tau_{FTTI}$ het tijdsinterval.
Bewijsstuk-tuple ( $E_T$ ): Claims worden ondersteund door een specifieke bewijsstuk-tuple die detectielatentie, initiatielatentie, succes-tijd van de MRM, naleving van de stopzone en de succeswaarschijnlijkheid per aanvraag met betrouwbaarheidsintervallen vastlegt.
Gap tussen Ontwerp en Behalen ( $\Delta T$ ): Het artikel introduceert een metriek om onderscheid te maken tussen architecturale fallback-claims ( $T_{designed}$ ) en de op de scène gebaseerde haalbare capaciteit ( $T_{achievable}$ ). De gap $\Delta T = T_{achievable} - T_{designed}$ wordt berekend op een ordinale schaal ( $T_0$ tot $T_3$ ) om te identificeren waar omgevings- of contextuele beperkingen de prestaties onder de ontwerpverwachtingen doen dalen.
Classificatie: Transfereerbaarheid wordt geclassificeerd in vier niveaus ( $T_0$ – $T_3$ ) op basis van de ondergrens van de betrouwbaarheid van de MRM-succeswaarschijnlijkheid, geconditioneerd op specifieke ODD-slices en foutfamilies.

2. Voorspelbaarheid (Dimensie van Externe Interactie)

Voorspelbaarheid richt zich op de veiligheid van interacties tussen de AV en externe weggebruikers (voetgangers, fietsers, andere bestuurders). Het kwantificeert de mate waarin deze externe agenten het nabije toekomstige gedrag van de AV kunnen anticiperen op basis van observeerbare beweging, signalen en context, voordat zij hun eigen reactie moeten inzetten.

Formalisering: Voorspelbaarheid wordt gedefinieerd via een referentiemodel van verwachte beweging ( $p_{ref}$ ) en een observatiemodel voor doelinferentie ( $p(g | \xi_{0:t}, c, a)$ ).
Vector Monitor ( $M_P$ ): Voorspelbaarheid wordt beoordeeld via vier diagnostische kanalen:
1. Contextuele Conformiteit ( $Q_{conf}$ ): Meet hoe goed het traject past bij de verklaarde referentieverdeling.
2. Intentie-helderheid ( $S_{intent}$ ): Kwantificeert de reductie van ambiguïteit in de doelinferentie van de waarnemer (gebaseerd op Shannon-entropie).
3. Signaalconsistentie ( $S_{signal}$ ): Beoordeelt de uitlijning tussen richtingaanwijzers, remlichten en werkelijke beweging.
4. Kinematische Verrassing ( $S_{kin}$ ): Detecteert onverklaarbare schokken, hard remmen of aarzeling.
Aggregatie: Deze kanalen worden geaggregeerd in een ordinale klasse ( $P_0$ – $P_3$ ) met behulp van een "worst-channel"-regel, waarbij een enkele fout in een kanaal de algehele klasse kan degraderen.

3. Geïntegreerde Verbeterde Controleerbaarheid ( $C_u$ )

Het artikel stelt een uniforme berekening voor voor Controleerbaarheid in bestuurdersloze contexten ( $C_u$ ) door Transfereerbaarheid ( $T$ ) en Voorspelbaarheid ( $P$ ) te combineren.

Compositierel: De auteurs suggereren een additieve strafregel: $C_u = \min(3, T + \Delta P)$ , waarbij $\Delta P$ een straf is die is afgeleid van de Voorspelbaarheidsklasse.
Integratie: Deze uniforme klasse $C_u$ wordt samen met de standaard Ernst- en Blootstellingsparameters gerapporteerd in de Hazard Analysis and Risk Assessment (HARA) als aanvullend bewijs. Het vervangt de normatieve ASIL-bepaling niet, maar informeert deze met scenario-geconditioneerde, controleerbare gegevens.

Belangrijkste Bijdragen

Het artikel levert drie fundamentele methodologische bijdragen:

Formalisering van Transfereerbaarheid: Het breidt de constructie van Controleerbaarheid uit voor bestuurdersloze contexten door de prestaties van de Minimal Risk Maneuver (MRM) te evalueren tegenover de Fault-Tolerant Time Intervals, waarbij de "Ontwerp versus Behalen"-gap ( $\Delta T$ ) wordt geïntroduceerd om fallback-claims weerlegbaar en traceerbaar te maken.
Vestiging van Voorspelbaarheid: Het definieert Voorspelbaarheid als een kwantificeerbare dimensie van de veiligheid voor externe weggebruikers, waarbij zowel de conformiteit aan verwachte bewegingspatronen als de helderheid van de intentiecommunicatie wordt gevangen, ondersteund door een vierkanaals vector monitor.
Validatiemethodologieën: Het stelt specifieke acceptatiecriteria en validatiemethoden voor, waaronder fault-injection testen voor Transfereerbaarheid en menselijke waarnemerstudies (of gekalibreerde observatiemodellen) voor Voorspelbaarheid, wat de adoptie ervan als weerlegbare metrieken binnen de ISO 26262 en SOTIF-veiligheidslevenscycli mogelijk maakt.

Resultaten en Voorgesteld Kader

Het artikel presenteert geen empirische experimentele resultaten van een specifieke voertuigimplementatie, maar stelt een theoretisch en procedureel kader vast. De "resultaten" zijn de voorgestelde definities, wiskundige formuleringen en integratiepunten:

Classificatietabellen: Het artikel definieert niet-normatieve rapportageklassen voor Transfereerbaarheid ( $T_0$ – $T_3$ ) en Voorspelbaarheid ( $P_0$ – $P_3$ ) met kwalitatieve acceptatiecriteria (bijv. $T_0$ vereist naadloze, fail-operational transities; $P_0$ vereist dat alle kanalen binnen gekalibreerde grenzen blijven).
Uniforme Mapping: Een mappingtabel (Tabel IV) demonstreert hoe combinaties van $T$ - en $P$ -klassen resulteren in een uniforme Controleerbaarheidsklasse ( $C_0$ – $C_3$ ), waarbij de ordinale schaling van ISO 26262 behouden blijft.
Wijzigingen in ISO 26262: De auteurs schetsen specifieke, beknopte wijzigingen in ISO 26262 Deel 1–10. Dit omvat het toevoegen van definities voor Transfereerbaarheid en Voorspelbaarheid, het bijwerken van HARA om $T$ en $P$ ratings vast te leggen, en het vereisen van onafhankelijke monitors voor planner-ontwerp om circulaire afhankelijkheden tussen trainingssignalen en veiligheidsbewijs te voorkomen.

Betekenis en Claims

Het artikel claimt dat het voorgestelde kader een schaalbaar, op bewijs gebaseerd pad biedt voor de certificering van de veiligheid van hoog geautomatiseerde (L4) en volledig autonome (L5) systemen. De betekenis ligt in:

Behoud van Standaarden: Het behoudt de structuur en de bedoeling van ISO 26262 terwijl het de toepasbaarheid op bestuurdersloze systemen uitbreidt, waardoor de noodzaak voor een volledig nieuwe standaard wordt vermeden.
Overbruggen van Disciplines: Het harmoniseert functionele veiligheid (ISO 26262) met SOTIF (ISO 21448) door zowel intrinsieke systeemcontrole (Transfereerbaarheid) als externe menselijke begrijpelijkheid (Voorspelbaarheid) te kwantificeren.
Falsifieerbaarheid: Door meetbare metrieken zoals $\Delta T$ en de vector monitor $M_P$ te introduceren, maakt het kader fallback- en interactieclaims weerlegbaar en traceerbaar over specifieke ODD-slices, weg van obscure, geaggregeerde veiligheidsclaims.
Onafhankelijkheid: Het artikel benadrukt dat planner-ontwerp en veiligheidsbewijs onafhankelijk moeten blijven; het gebruik van Voorspelbaarheidsmetrieken als trainingsbeloningen mag de geldigheid van het veiligheidscase-bewijs niet in gevaar brengen.

De auteurs verklaren expliciet dat deze voorstellen onderzoeksaanbevelingen zijn voor standaardsorganisaties en geen normatieve vereisten vormen of de nalevingshouding van hun werkgevers weerspiegelen. Zij erkennen beperkingen en merken op dat numerieke targets scenario-specifiek zijn en her-kalibratie vereisen, en dat het kader niet voorstelt om ASIL-vereisten te versoepelen op basis van hoge Transfereerbaarheids- of Voorspelbaarheidsscores.